Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

404
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
403
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
Vektoren C und X ist bei vorgegebenem C und M genau dann eindeutig lösbar, wenn M
regulär ist. M ist dann und nur dann regulär, wenn sich durch Zeilen und Spaltenoperationen
aus M eine Dreiecksmatrix machen läßt (d.h. alle Diagonalelemente sind ≠ 0 und entweder alle
Werte unter der Diagonale oder alle Werte oberhalb der Diagonale sind 0). Dies wird für
ist.) Also kann der Authentikationscode wie rechts im Bild gezeichnet dargestellt werden: Hier
ist der Wert des MAC in Abhängigkeit vom Schlüssel und Text dargestellt. Offensichtlich
erfährt man also durch den aktuellen MAC für H nichts über den für T und umgekehrt.
1 m ( 1 m' )
unsere Matrix
Text
H T
Text mit MAC
H,0 H,1 T,0 T,1
kurz vorgeführt: Subtraktion der ersten Zeile von der zweiten ergibt:
1 m ( 0 m'– m )
Dies ist genau dann eine Diagonalmatrix, wenn m ≠ m' ist.
0 0
00
–
T
–
H
00
0 1
01
T
–
–
H
01
Um einen subtilen Beweisfehler zu zeigen, wird nachfolgend noch ein anderer Beweis
angegeben:
1 0
10
Schlüssel
–
T
H
–
10
Schlüssel
MAC := a + b•m ⇔ a := MAC – b•m
Also kann b beliebig gewählt werden, da durch a die Gleichung erfüllt werden kann. Also
erfährt der Angreifer nichts über b. Bei Authentikation einer anderen Nachricht m' müßte er
aber b kennen, um das MAC zu MAC' korrigieren zu können {, da b•m bei Variation von m
seinen Wert beliebig und gleichverteilt ändert}.
Ohne den Zusatz der geschweiften Klammer im „Beweis“ wäre der Authentikationscode
MAC := a + b•m2 ein nettes Gegenbeispiel: Denn der „Beweis“ trifft auch auf ihn zu, bei ihm
kann aber jede Nachricht m durch -m ersetzt werden, ohne daß das MAC geändert werden
muß.
3-9 Mathematische Geheimnisse
a) Ganz klar ist es nicht, da man die Primzahlen nun nicht mehr mit gleicher Wahrscheinlichkeit
wählt, sondern solche, die nach langen Lücken in der Primzahlfolge kommen, mit größerer,
solche, die nur zwei größer sind als eine andere Primzahl, nur, wenn sie am Anfang als
Zufallszahl gewählt wurden.
Für Spezialisten: Zumindest unter der Cramerschen Vermutung ist das Verfahren aber
trotzdem sicher: Diese Vermutung (die ich aus [GoKi_86] kenne), besagt π(x + log2x) -
π(x) > 0. Danach erhält man die Primzahlen nach den längsten Lücken nur bis zu einem
Faktor von log2x ≈ l 2 häufiger als die oberen aus Primzahlzwillingen. Für die Produkte n
ergeben sich also Wahrscheinlichkeitsunterschiede bis zu l 4 . Wenn es für diese Verteilung
einen erfolgreichen Faktorisierungsalgorithmus gäbe, so wäre er bei der korrekten
Verteilung höchstens um den Faktor l 4 weniger erfolgreich. Damit sinkt auch dessen
Erfolgswahrscheinlichkeit nicht schneller als jedes Polynom, im Widerspruch zur echten
Faktorisierungsannahme. (Ohne Cramersche Vermutung käme man künstlich wieder zu
demselben Ergebnis, wenn man das Suchen in 2-er-Schritten nicht beliebig lange macht,
sondern ein Abbruchkriterium verwendet, etwa nach l 2 2-er-Schritten.)
b) Man kann erwarten, daß die beiden Primzahlen sehr nah beieinanderliegen, also beide etwa √⎺ n
groß sind. Deswegen kann man die Zahlen in der Umgebung von √⎺ n durchsuchen (d.h. n
durch jede von ihnen teilen.)
Genauer: Es gilt in den meisten Fällen z.B. q ≤ p + 16l (Primzahlsatz mit etwas Spielraum, da
im Mittel der Abstand zur nächsten Primzahl l•ln(2) ist. Die besonders schöne Zahl 16 wurde
gewählt, um das folgende Rechnen zu erleichtern).
In diesen Fällen ist also p2 < n < p(p + 16l) < (p + 8l) 2 , d.h. p < √⎺ n < p + 8l , also √⎺ n –
8l < p < √⎺ n. Man muß also nur diese 8l Zahlen durchsuchen und hat mit signifikanter, sogar
großer Wahrscheinlichkeit faktorisiert.
c) 19 = (10011) 2 . Mod 101 gilt:
11 – H – T
11 1 1
c) Nein, weil der Empfänger seine Schlüsselabschnitte ja in einer festen Reihenfolge verwendet.
d) Beispiel: Ausgetauscht sei der Schlüssel 00 11 10 01. Zu sichern sei der Klartext H T T T.
Dann wird 00 11 01 00 als Schlüsseltext generiert und übertragen.
Bzgl. Authentikation gilt die obige Argumentation sinngemäß: Für jeden der nach einer
Beobachtung des Angreifers möglichen beiden Schüsselwerte muß er bei der angestrebten
Änderung des Klartextes unterschiedliche Schlüsseltexte nehmen. Er hat also wieder keine
bessere Erfolgsmöglichkeit, als mit der Wahrscheinlichkeit 0,5 richtig zu raten.
Führt ein Angreifer einen verändernden Angriff durch, kann er allerdings in jedem Fall an der
Reaktion des Angegriffenen (akzeptiert gefälschte Nachricht oder nicht) erkennen, welcher der
beiden nach seiner ersten Beobachtung noch möglichen Schlüsselwerte vorliegt, und dadurch
den Schlüsselwert genau bestimmen. Aus ihm und dem beobachteten Schlüsseltext ergibt sich
der Klartext. Das sei an einem Beispiel erläutert: Der Angreifer fange den Schlüsseltext 00 ab
und tippe von den möglichen zwei Schlüsselwerten auf den Wert 00, also auf den Klartext H.
Er ändere den Klartext in T ab, indem er den Schlüsseltext 10 weiterschickt. Akzeptiert der
Empfänger, war der Tipp des Angreifers richtig, der ursprünglich gesendete Klartext also in
der Tat H. Akzeptiert der Empfänger nicht, war der Wert des Schlüssels 01 und damit der
ursprünglich gesendete Klartext T.
e) Es wird ein zusätzliches Schlüsselbit verwendet. Ist es 0, bleibt alles wie bisher. Ist es 1,
werden in der Tabelle genau alle H durch T ersetzt und umgekehrt. Selbst nach dem oben
beschriebenen, bzgl. Informationsgewinn über den Schlüssel optimalen Angriff weiß der
Angreifer den Wert des zusätzlichen Schlüsselbits nicht. Dieses Schlüsselbit wirkt als Vernam-
Chiffre, so daß die Konzelation auch nach dem Angriff noch perfekt ist.
Leider ist das kombinierte System nun nicht mehr effizienter als Authentikationscode und
Vernam-Chiffre, sofern erst das Nutzbit konzeliert und danach authentisiert wird. Macht man
es andersherum, braucht man statt 3 Schlüsselbits 4.
f) Zu zeigen ist, daß es zu jedem möglichen Wert MAC' (d.h. MAC' ∈ K) genau einen mit der
Beobachtung (m, MAC) verträglichen Wert (a, b) gibt. Das Gleichungssystem
MAC = a + b•m
MAC' = a + b•m'
mit den Unbekannten a, b hat genau dann genau eine Lösung, wenn m ≠ m' ist. m ≠ m' aber
ist genau das Ziel des Angreifers.
Für diejenigen, die sich nicht mehr so genau an die Lineare Algebra erinnern, eine etwas
ausführlichere Begründung: Ein Gleichungssystem C = M•X mit der Matrix M und den